Een kritieke, actief misbruikte zero-day in Fortinets mailgateway FortiMail (CVE-2026-104286, CVSS 9,8) dwingt organisaties wereldwijd tot noodmaatregelen, en wordt door Belgische media in verband gebracht met een datalek bij netwerkbeheerder Belnet.
Listen to the episode →Op 1 oktober waarschuwde Fortinet dat een kritieke kwetsbaarheid in FortiMail, de mailsecurity-gateway van het bedrijf, al actief wordt misbruikt door onbekende aanvallers. De fout, CVE-2026-104286, krijgt een CVSS-score van 9,8 op 10: een niet-geauthenticeerde aanvaller kan er met speciaal geprepareerde HTTP-verzoeken willekeurige bestanden op het onderliggende systeem schrijven, zonder ooit in te loggen. Opvallend toeval: één dag eerder meldde Computable.be dat Belnet, de Belgische netwerkbeheerder voor onderwijs en onderzoek, zelf getroffen was door "een zero-day in technologie van leverancier Fortinet". Twee verhalen die naar elkaar toe lijken te buigen, al is het verband tussen beide niet door Fortinet of Belnet zelf hard gemaakt. Samen illustreren ze wel iets groters: hoe kwetsbaar de apparaten zijn geworden die bedrijven net aan de rand van hun netwerk zetten om zich te beschermen.
Fortinet omschrijft CVE-2026-104286 in zijn advisory als een combinatie van path traversal (CWE-22) en een fout in de verwerking van null-bytes (CWE-158) in de webinterface van FortiMail. Een aanvaller die geen account nodig heeft, kan met een geprepareerd HTTP- of HTTPS-verzoek bestanden wegschrijven buiten de map waarvoor ze bedoeld zijn. De fout werd intern ontdekt door Gwendal Guégniaud van Fortinets eigen Product Security-team, maar tegen de tijd dat de advisory verscheen, was ze dus al in het wild misbruikt.
Het Amerikaanse CISA voegde CVE-2026-104286 nog op 1 oktober toe aan zijn Known Exploited Vulnerabilities-catalogus en gaf Amerikaanse federale overheidsdiensten tot 4 oktober om te patchen of te mitigeren – een opvallend korte deadline die aangeeft hoe ernstig de dienst de situatie inschat. De kwetsbaarheid treft FortiMail 8.0.0 tot 8.0.1, 7.6.0 tot 7.6.6, 7.4.0 tot 7.4.8 en 7.2.0 tot 7.2.9. Voor geen van die takken bestond op het moment van de advisory al een definitieve patch: Fortinet noemt de komende versies 8.0.2, 7.6.7 en 7.4.9 voorlopig nog "aankomend" en raadt 7.2-gebruikers aan meteen door te schuiven naar tak 7.4 of hoger.
Belnet publiceerde zijn eigen melding op 25 september, dus een week vóór Fortinets advisory. Volgens de samenvatting die daarvan circuleert, werd binnenkomende e-mail naar Belnet en naar minstens één klant gekopieerd naar externe infrastructuur, tussen 22 juli en de ochtend van 25 september 2026. Belnet zegt het incident op 24 september te hebben opgemerkt en het de volgende ochtend te hebben ingedamd nadat het "de zero-day van een leverancier" had verholpen. Welke leverancier, welke klant en hoeveel berichten het precies ging, maakte Belnet niet bekend; het Centrum voor Cybersecurity België (CCB) onderzoekt mee. Het is Computable.be dat de leverancier vervolgens benoemt als Fortinet.
FortiMail is geen gewone mailserver, maar een beveiligingsgateway die vóór de eigenlijke mailomgeving van een organisatie staat: hij filtert spam en malware, beheert versleuteling en zit daardoor vaak met een beheerinterface aan het internet. Juist die combinatie – internetgericht, met hoge rechten, en vertrouwd om binnenkomende post te verwerken – maakt dit type apparaat aantrekkelijk. Een path traversal-fout met null-byte-verwerking werkt simpel gezegd zo: de applicatie verwacht een bestandsnaam binnen een vaste map, maar door tekens als "../" of een afgekapte naam met een null-byte te combineren, kan een aanvaller de applicatie laten geloven dat hij binnen die map blijft, terwijl hij in werkelijkheid elsewhere op het bestandssysteem schrijft.
Fortinet deelde indicators of compromise die een kijkje geven in wat aanvallers daarmee deden: nieuwe bestanden als /data/lib/liblog.so, /data/bin/webconsole en /data/bin/mailservice, en wijzigingen aan /data/etc/ld.so.preload, /bin/smit en /data/etc/httpd.conf. Dat ld.so.preload-bestand is veelzeggend voor wie de techniek kent: het is het klassieke mechanisme om een kwaadaardige library te laten laden vóór elk ander programma op het systeem start, een vorm van rootkit-achtige persistentie die overleeft op reboots en moeilijk op te sporen is zonder gericht te zoeken. Met andere woorden: dit gaat verder dan "een bestand kunnen wegschrijven" – het wijst op aanvallers die via die schrijftoegang een volwaardige, blijvende voet in het systeem hebben gekregen. Zolang er geen patch is, raadt Fortinet aan om de IBE-functie (identity-based encryption) uit te schakelen via de CLI, of de beheerinterface helemaal niet meer vanaf het internet bereikbaar te maken.
Dit is niet het eerste jaar dat Fortinet-apparatuur in het nieuws komt. In juni circuleerden inloggegevens van zowat 75.000 FortiGate-firewalls onder criminelen – Fortinet zelf hield toen vol dat die gegevens uit oudere incidenten en brute-force-aanvallen kwamen, niet uit een nieuwe fout. Eerder dit jaar trof een aanval via het partnerportaal van Fortinet – dus niet via een productkwetsbaarheid, maar via het kanaal waarmee IT-dienstverleners klantennetwerken beheren – naar schatting 270 Belgische organisaties, van advocatenkantoren tot gemeenten en scholen, en wereldwijd meer dan 75.000 firewalls met 110 miljoen gestolen inloggegevens. Dat is een ander verhaal dan CVE-2026-104286, maar het patroon is gelijkaardig: één zwak punt bij of via een leverancier, met een veelvoud aan getroffen organisaties als resultaat.
Belangrijker nog: FortiMail staat deze weken niet alleen. Hetzelfde Hacker News-artikel dat CVE-2026-104286 beschrijft, noemt in één adem actief misbruikte zero-days in Check Point (twee CVE's), Arista's VeloCloud Orchestrator, F5 BIG-IP Access Policy Manager, Cisco Catalyst SD-WAN Manager en Citrix NetScaler ADC/Gateway – die laatste met acht nieuwe kwetsbaarheden die Citrix eind september bekendmaakte, waarvan er al binnen uren na onthulling massaal werden misbruikt. Het beeld dat daaruit ontstaat: aanvallers richten zich systematisch op precies de apparaten die bedrijven aan hun netwerkrand zetten om zich te verdedigen – firewalls, VPN-gateways, mailgateways, SD-WAN-managers – omdat die apparaten moeilijk te patchen zijn zonder downtime, zelden goed gemonitord worden, en per definitie internetgericht moeten blijven om hun functie te vervullen.
Voor elke organisatie die FortiMail draait, is de boodschap simpel maar onaangenaam: er is nog geen definitieve patch voor de meeste getroffen versies, dus de workaround – IBE uitschakelen of de beheerinterface afschermen van het internet – is voorlopig de enige verdediging. Minstens zo belangrijk: wie zijn FortiMail-interface wél aan het internet had hangen, moet ervan uitgaan dat een mitigatie alléén niet volstaat. De aangetroffen bestanden, met het ld.so.preload-mechanisme op kop, wijzen op aanvallers die er al in geslaagd zijn blijvende toegang te vestigen. Patchen of de workaround toepassen sluit de deur, maar verwijdert niet wat er al binnen is. Forensisch onderzoek met de IOC's die Fortinet publiceerde, is dus geen overdreven voorzichtigheid maar een vereiste stap.
Voor Belgische organisaties is er een extra laag. Belnet is geen gewone internetprovider: via dit netwerk lopen de verbindingen van het federale parlement, ministeries, universiteiten, hogescholen en onderzoeksinstellingen. Een kwetsbaarheid bij of via een leverancier van Belnet die er twee maanden lang voor zorgt dat binnenkomende correspondentie wordt gekopieerd zonder dat iemand het merkt, raakt dus niet alleen Belnet, maar mogelijk ook de vertrouwelijkheid van communicatie met de instellingen die erop aangesloten zijn. Wie in de periode 22 juli tot 25 september met Belnet of een aangesloten instelling heeft gecorrespondeerd, doet er goed aan de verzonden berichten en bijlagen uit die periode te herbekijken: stonden er wachtwoorden, API-tokens of andere nog geldige geheimen in, dan moeten die ingetrokken worden, los van de vraag of Belnet het eigen lek ooit volledig in detail zal toelichten.
Fortinet zelf maakt niet bekend wanneer de aanvallen tegen FortiMail precies begonnen, wie erachter zit, of hoeveel klanten al gecompromitteerd zijn – de advisory bevestigt enkel dat de kwetsbaarheid "in het wild wordt misbruikt". Elke claim over de schaal van de aanval is op dit moment dus gokwerk.
Het verband met Belnet verdient evenveel voorzichtigheid. De tijdlijnen passen wel bij elkaar – Belnet dicht zijn lek op 25 september, Fortinet maakt zijn kwetsbaarheid pas op 1 oktober publiek, wat zou passen bij een zero-day die al wekenlang misbruikt werd vóór de vendor hem kende – en FortiMail als mailgateway sluit inhoudelijk goed aan bij een incident waarbij net binnenkomende e-mail werd gekopieerd. Maar noch Belnet, noch Fortinet heeft bevestigd dat het exact dezelfde kwetsbaarheid is. Het kan evengoed een andere, nooit apart gepubliceerde Fortinet-fout zijn. Behandel de link dus als een sterke aanwijzing, niet als een vaststaand feit.
De komende weken draait het om drie dingen. Eerst: komen de aangekondigde patches (8.0.2, 7.6.7, 7.4.9) er snel, en hoe lang moeten organisaties het met de workaround stellen? Hoe langer dat duurt, hoe groter het venster voor nieuwe slachtoffers. Daarna: zal Belnet of het CCB ooit expliciet bevestigen welke leverancier en welke kwetsbaarheid aan de basis van het eigen incident lag – voor een instelling die het federale parlement en universiteiten verbindt, is dat geen overbodige transparantie, maar een redelijke verwachting. En ten slotte, op een hoger niveau: deze golf van vrijwel gelijktijdige zero-days in firewalls, VPN-gateways en mailgateways zal de druk verhogen op leveranciers om sneller te patchen en vollediger te rapporteren, iets waar NIS2 in de EU precies op inzet. Of die druk ook echt tot snellere patchcycli leidt, dan wel tot nog meer brandjes blussen na de feiten, is de vraag die deze zero-day-golf voorlopig openlaat.